Beth mae IncludeAllNetworks yn ei wneud mewn proffil IKEv2 ar Mac?

Mewn proffil IKEv2 brodorol, nid blwch ticio yw'r allwedd ddiddorol, IncludeAllNetworks yw hi, a'r hyn y mae'n ei newid yw cwmpas yr hyn y caiff y system ei anfon y tu allan i'r twnnel. Gosodwch hi i 1 a bydd macOS yn trin y twnnel fel y llwybr ar gyfer bron pob traffig IP, namyn set o eithriadau y mae'n eu diffinio ac y gallwch eu hymestyn. Gan ei bod yn byw mewn geiriadur proffil yn hytrach na mewn dewislen, nid yw chwaith yn golygu'r hyn y mae'r rhan fwyaf o bobl yn ei dybio pan fyddant yn darllen yr ymadrodd anfon pob traffig.

Beth mae'r allwedd yn ei newid y tu mewn i'r pentwr rhwydwaith

Hebddi, mae'r twnnel yn ymddwyn fel rhyngwyneb rhwydwaith gyda llwybrau ynghlwm. Mae llwybr diofyn trwy'r rhyngwyneb hwnnw'n dal y rhan fwyaf o'r traffig, ac mae unrhyw lwybr mwy penodol ar ryngwyneb arall yn dal i ennill ar gyfer ei ragddodiad ei hun. Llwybreiddio arferol yw hyn, a dyna pam mae twnelu hollt yn digwydd bron ar ddamwain.

Gyda'r allwedd wedi'i galluogi, mae'r cwmpas yn peidio â bod yn ffafriaeth llwybreiddio ac yn dod yn bolisi ynglŷn â pha draffig a ganiateir i adael trwy unrhyw beth heblaw'r twnnel. Mae'r system yn dal angen cyrraedd y rhwydwaith i gadw'r cysylltiad yn fyw, felly daw'r polisi ag eithriadau yn hytrach na smalio nad ydynt yn bodoli. Nid yw ei alluogi byth yn gadael y peiriant heb unrhyw lwybr gweithio o gwbl. Yr hyn a gewch yw rhestr lai o lwybrau nag a dybiasoch, ac mae'r rhestr honno wedi'i dogfennu.

Y canlyniad ymarferol yw nad yw ychwanegu llwybr bellach yn esbonio'r canlyniad. Os cyrhaeddir cyrchfan yn uniongyrchol o hyd, y cwestiwn yw nid pa lwybr a enillodd ond a yw eithriad yn ei chwmpasu.

Mae'r eithriadau yn rhan o'r gosodiad

Mae Apple yn dogfennu sawl eithriad wrth ymyl yr allwedd flaenorol, yn cwmpasu rhwydweithiau lleol, traffig Apple Push Notification, gwasanaethau symudol a chyfathrebu dyfeisiau. Mae gan bob un ei amodau platfform a fersiwn ei hun, felly gall yr un proffil ymddwyn yn wahanol ar draws fersiynau macOS.

Mae rhai o'r eithriadau hynny'n gynhenid. Rhaid caniatáu'r traffig sy'n angenrheidiol i sefydlu a chynnal mynediad rhwydwaith, gan gynnwys trin captive portal, neu gall y peiriant orffen wedi'i gysylltu â dim byd ac yn methu ei drwsio.

Yna daw'r dewisiadau bwriadol. Nid yw caniatáu argraffydd cartref yr un penderfyniad â chaniatáu rhagddodiad adnodd gwaith, ac mae'r ddau yn wahanol i adael APNs yn gyrraeddadwy fel y bo hysbysiadau'n parhau i gyrraedd. Cofnodwch ba rai a alluogwyd gennych, yn y proffil ei hun, yn hytrach na'u darganfod yn ddiweddarach o adroddiad nam.

Pam nad yw'r un fath â llwybr diofyn

Mae llwybr diofyn yn gofnod yn y tabl llwybreiddio, ac mae tablau'n colli. Mae rhagddodiad mwy penodol yn ei drechu, gall cysylltiad wedi'i gwmpasu i ap fynd heibio iddo, a gall ail ryngwyneb â metrig gwell gymryd drosodd heb i neb gyffwrdd â chyfluniad y VPN.

Mae canllaw llwybreiddio Apple yn gwneud y gwahaniaeth yn glir: gellir diystyru llwybrau diofyn cyffredin gan lwybrau mwy penodol, tra bod y gosodiad cwmpas ehangach yn diffinio pa draffig y mae'n rhaid i'r twnnel ei gario a beth a dynnir allan ohono. Ffafriaeth yw'r naill, mae'r llall yn nes at reol.

Mae'r gwahaniaeth hwnnw hefyd yn newid sut rydych yn diagnosio gollyngiad. Gyda llwybr diofyn byddwch yn archwilio llwybrau a metrigau. Gyda'r allwedd gwmpas byddwch yn archwilio adolygiad y proffil, yr eithriadau a osodwyd a'r ymddygiad sy'n benodol i fersiwn, oherwydd mae'r tabl llwybreiddio i lawr yr afon o benderfyniad a wnaed ynghynt.

Mae EnforceRoutes yn knap gwahanol

Mae EnforceRoutes yn swnio fel y fersiwn llym o'r un syniad, ac mae pobl yn pentwr y ddau gan gredu bod mwy o allweddi'n golygu mwy o gwmpas. Mae Apple yn dogfennu ei fod yn cael ei anwybyddu pan fydd IncludeAllNetworks wedi'i alluogi, felly nid yw'r ail allwedd yn prynu dim yn y cyfuniad hwnnw.

Triniwch ef fel dewis arall ar gyfer cyfluniadau nad ydynt yn defnyddio'r cwmpas ehangach, nid fel atgyfnerthu. Os na allwch esbonio beth mae pob allwedd yn ei wneud ar ei phen ei hun, dim ond gwneud y proffil yn anoddach i'w adolygu y mae ychwanegu'r ddau.

Beth y mae'n rhaid i'r porth a pherchennog y proffil gytuno arno

Ni all gosodiad cleient beri i weinydd anfon traffig na chafodd erioed ei gyflunio ar ei gyfer. Mae angen i'r porth dderbyn y sesiwn, dosbarthu cyfeiriadau, darparu llwybr dychwelyd ar gyfer y rhagddodiadau rydych am eu cyrraedd, a gwasanaethu DNS yn y drefn a ddewisoch. Os mai dim ond un rhagddodiad y mae'n ei lwybreiddio, mae cwmpas eang y cleient yn cynhyrchu traffig sy'n cyrraedd ac yn marw. Mae un cais i gyrchfan y tu allan i lwybrau'r porth yn profi hynny mewn munud.

Mae twnnel sy'n eiddo i ap yn achos ar wahan eto. Rhaid i'r darparwr weithredu neu ddatgelu'r ymddygiad a gefnogir; nid yw gosod ail broffil IKEv2 brodorol yn newid twnnel y mae ap arall eisoes yn ei reoli, ac nid yw allwedd IKEv2 yn gyfarwyddyd OpenVPN y bydd cleient arall yn ei ddarllen.

Ar gyfer y rhestr allweddi gyfredol a'r amodau fersiwn, darllenwch gyfeirnod llwyth IKEv2 Apple yn hytrach na phroffil a gopïwyd gan rywun flynyddoedd yn ôl.

Derbyniwch adolygiad proffil fel cyfan

Cyn i chi newid Mac a weinyddir o bell, nodwch y fersiynau macOS targed, yr allanfa rhyngrwyd arfaethedig, y rhagddodiadau preifat sy'n rhaid aros yn gyrraeddadwy, a phob eithriad rydych yn ei alluogi. Yna cadwch lwybr adfer nad yw'n dibynnu ar y twnnel rydych ar fin ei newid.

Profwch geisiadau cyhoeddus newydd, ceisiadau preifat, y ddwy deulu cyfeiriad a datrysiad enwau, a gwiriwch yr adolygiad a osodwyd yn hytrach na'r ffeil ddylunio. Os oes rhywbeth yn mynd yn uniongyrchol o hyd, penderfynwch ai eithriad dogfenedig, cyd-destun cysylltiad gwahanol, neu wall cyfluniad gwirioneddol yw hi, a newidiwch un o'r tri hynny yn hytrach na lledu allweddi di-gysylltiad.